Vertrouwensdiensten, e-handtekeningen en identiteitsverificatie

• Regulation (EU) No 910/2014 — eIDAS as amended by Regulation (EU) 2024/1183
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act for biometric verification

Wie moet aanwijzen

Leveranciers die buiten de Unie zijn gevestigd en handtekening-, zegel-, tijdstempel- of identiteitsverificatie diensten aanbieden aan gebruikers in de EU. De gegevenszijde heeft een vertegenwoordiger nodig. De vertrouwensdienstzijde is anders: gekwalificeerde status vereist vestiging in de Unie en toezicht door een nationale instantie, en kan niet worden verkregen via een vertegenwoordiger.

Drempels en vrijstellingen

Niet-gekwalificeerde vertrouwensdiensten kunnen worden verleend zonder voorafgaande autorisatie, maar blijven onderworpen aan de beveiligings- en meldingsverplichtingen. Gekwalificeerde status vereist een conformiteitsbeoordeling en opname op de vertrouwde lijst van een lidstaat.

Wat op het etiket moet

Niet fysiek. Wat gepubliceerd moet worden zijn de servicevoorwaarden, de verklaring van certificeringspraktijken waar certificaten worden uitgegeven, en de identiteit van de toezichthoudende instantie. De GDPR vertegenwoordiger gaat in de privacyverklaring.

Marktplaatsvelden

Bedrijfsinkopers en overheidsinkoop in de Unie vereisen gekwalificeerde status voor veel gebruiksgevallen, en het EU Digital Identity Wallet kader breidt de situaties uit waarin gekwalificeerde elektronische handtekeningen worden verwacht.

Documentatie die u moet bewaren

Artikel 30 registraties met betrekking tot identiteitsdocumenten, biometrische sjablonen en handtekeninglogs. De Artikel 27 aanwijzing. Gegevensbeschermingseffectbeoordeling, aangezien identiteitsverificatieprocessen speciale-categorie biometrische gegevens bevatten. Bewaarschema dat de bewijswaarde tegen minimalisatie balanceert. Voor vertrouwensdiensten, het conformiteitsbeoordelingsrapport, het beveiligingsbeleid en de procedures voor incidentmeldingen.

Normen en tests

Conformiteitsbeoordeling door een geaccrediteerde instantie voor gekwalificeerde diensten. Voor biometrische verificatie, nauwkeurigheids- en bias-testen, aangezien de AI-wetgeving afstandsbiometrische identificatie als hoog risico beschouwt en verklaarde prestatieniveaus vereist.

Taalvereisten

Voorwaarden, certificaatbeleid en gebruikersinformatie in de talen van de bediende markten.

Vanaf wanneer

De vertegenwoordiger vóór de verwerking begint. Verplichtingen van de vertrouwensdienst vanaf het moment dat diensten worden aangeboden. Het gewijzigde eIDAS-kader voert de Europese Digitale Identiteitsportemonnee in tot 2026 en 2027.

Bewaartermijn

Handtekening- en certificaatbewijzen moeten lang genoeg worden bewaard om verificatie jaren later te ondersteunen, wat een wettelijke verplichting is die eenvoudige minimalisatie overschrijdt, en moet als zodanig worden gedocumenteerd. Biometrische sjablonen moeten worden verwijderd zodra de verificatie is voltooid, tenzij een specifieke basis het behoud rechtvaardigt.

Bij niet-naleving

GDPR-boetes tot €20 miljoen of 4%, en toezichtsacties onder eIDAS, inclusief verwijdering van de vertrouwde lijst, wat de commerciële aanbieding onmiddellijk beëindigt.

Wie handhaaft

Gegevensbeschermingsautoriteiten, nationale toezichthoudende instanties voor vertrouwensdiensten, en AI-wetgeving markttoezichtautoriteiten voor biometrische systemen.

Waar de grens ligt

Het aanbieden van een handtekeningdienst is niet hetzelfde als het aanbieden van een gekwalificeerde, en alleen de laatste draagt de wettelijke veronderstelling van gelijkwaardigheid aan een handgeschreven handtekening. Het verkopen van een niet-gekwalificeerde dienst in een markt die wettelijk een gekwalificeerde handtekening vereist, is de meest voorkomende commerciële mislukking in deze sector.

Veelgestelde vragen

Kan een niet-EU leverancier gekwalificeerde handtekeningen aanbieden?

Niet direct. Gekwalificeerde status vereist vestiging in de Unie en toezicht door een lidstaat, of erkenning via een internationale overeenkomst.

Is biometrische identiteitsverificatie hoog risico onder de AI-wetgeving?

Afstandsbiometrische identificatiesystemen staan vermeld in Bijlage III, dus ja, met verplichtingen die vanaf augustus 2026 van toepassing zijn, inclusief een gemachtigde vertegenwoordiger voor niet-EU leveranciers.